Gnosis Pay signale une fuite de données sur ses cartes crypto

Gnosis Pay a publié le 6 novembre 2026 sur son blog un avis consacré à une fuite de données touchant l'ancien système qui fait fonctionner les cartes émises à son nom, c'est-à-dire son activité destinée aux particuliers (B2C). Selon cet avis, les systèmes de surveillance de l'entreprise ont détecté le 3 novembre 2026 un accès non autorisé à ce système, et des informations de clients ont été exposées. Gnosis Pay est le nom commercial de Gnosis Pay Co Ltd, société immatriculée au Royaume-Uni sous le numéro 14919639.

Une intrusion contenue en deux heures, selon l'entreprise

D'après l'avis de Gnosis Pay, l'équipe de sécurité a commencé à contenir l'intrusion dans les deux heures qui ont suivi sa détection. Elle a ensuite remplacé les identifiants de sécurité touchés et corrigé la faille. L'entreprise indique mener un examen complet et avoir mis en place une surveillance spécialisée afin de repérer toute utilisation abusive des données volées.

L'avis délimite le périmètre de l'incident : seul le système des cartes de marque Gnosis Pay est concerné. La plateforme pour entreprises, qui fait tourner l'ensemble des programmes de cartes en marque blanche proposés par des applications partenaires, n'est pas touchée selon la société. Gnosis Pay affirme également que les fonds des clients ne sont pas affectés.

Toujours selon l'avis, chaque client touché a reçu le 6 novembre un e-mail détaillant les informations prises sur son compte. L'entreprise dit avoir informé ses partenaires et être en contact avec les autorités de protection des données compétentes ainsi qu'avec l'émetteur de la carte. Cette carte de débit est émise par Monavate Limited sous licence Visa Europe ; Monavate est agréée par la FCA britannique comme établissement de monnaie électronique (FRN 901097). Sur son compte X, Gnosis Pay a par ailleurs déclaré « regretter profondément » l'incident et en assumer l'entière responsabilité, selon Coin Edition, Incrypted et crypto.news. Dans le même message, l'entreprise invite les chercheurs en sécurité à signaler les failles à l'adresse bounty@gnosis.io, avec les mêmes primes que pour Gnosis Chain, selon CoinLaw et Incrypted.

Des données exposées qui varient selon les comptes

L'avis public ne parle que de « certaines informations clients ». Les notifications individuelles envoyées aux porteurs, relayées par Cointelegraph, CoinDesk et CoinLaw, mentionnent notamment des numéros de carte de paiement, des adresses personnelles et les adresses des portefeuilles crypto liés aux comptes.

Le contenu varie d'un compte à l'autre. Lefteris Karapetsas, fondateur de Rotki, a indiqué sur X que son nom, son adresse, son numéro de carte et toutes ses adresses de portefeuille liées figuraient parmi les données exposées. L'avis reçu par un journaliste de Protos listait des éléments plus restreints : nom sur la carte, adresse de livraison et référence de compte, selon CoinLaw, ForkLog et Cointelegraph.

Plusieurs points restent ouverts. Le nombre de clients concernés n'a pas été communiqué, selon Cointelegraph, Cryptoticker et CoinGape. La manière dont les attaquants sont entrés et leur identité n'ont pas davantage été précisées, d'après Cryptoticker et BlockchainReporter. Rien n'a été communiqué non plus sur une éventuelle circulation ou mise en vente des données.

L'incident intervient quelques mois après un autre épisode. En juin 2026, une faille sur les comptes cartes Gnosis Pay avait coûté environ 1,5 million de dollars en actifs numériques ; l'entreprise l'avait attribuée à un défaut du framework de smart contracts Zodiac et dit avoir entièrement remboursé les clients concernés, selon crypto.news, CoinGape et BlockchainReporter. Les annonces de novembre ne font pas de lien entre les deux incidents.

3D Secure obligatoire jusqu'à la fermeture du 20 décembre

Le système B2C touché devait déjà fermer le 20 décembre 2026, et cette date reste prévue, précise l'avis. D'ici là, Gnosis Pay a renforcé la surveillance des opérations par carte et des portefeuilles, et rendu 3D Secure obligatoire pour tous les paiements en ligne par carte.

L'entreprise appelle ses clients à se méfier de tout e-mail, SMS, appel ou courrier inattendu concernant Gnosis Pay, une application partenaire ou la carte, même s'il contient de vraies données personnelles ou mentionne un achat réel. Elle recommande de ne pas cliquer sur les liens et de passer directement par l'application web officielle ou l'application partenaire. Gnosis Pay rappelle qu'elle et ses partenaires ne demandent jamais la phrase de récupération (seed phrase), les clés privées, le code PIN ou le numéro complet de la carte, ni de « re-vérifier » une identité ou de déplacer des fonds par e-mail, SMS ou téléphone ; toute modification du compte se fait uniquement dans l'application officielle.

L'avis conseille aussi la prudence quant aux personnes à qui l'on communique son adresse ou des détails sur ses avoirs crypto, en ligne comme hors ligne. Il indique que d'autres mesures ont été recommandées à chaque client en fonction des données consultées. Le contact donné pour toute question est help@gnosispay.com.

Ce que cela change pour les traders

Les traders qui utilisent une carte de marque Gnosis Pay pour dépenser leurs crypto-actifs seraient les premiers concernés ; selon l'entreprise, ceux dont la carte a été obtenue via une application partenaire en marque blanche ne le sont pas. L'e-mail daté du 6 novembre 2026 constituerait le moyen le plus direct de savoir quelles données ont été prises sur un compte. En cas de doute, écrire à help@gnosispay.com en saisissant l'adresse manuellement éviterait de passer par un lien reçu.

Le risque principal tiendrait à l'hameçonnage ciblé. Des escrocs disposant d'un nom, d'une adresse postale, d'un numéro de carte et d'adresses de portefeuille pourraient rédiger des messages ou des courriers papier très crédibles, voire se faire passer pour un support technique. Avec 3D Secure désormais exigé, une demande de validation reçue sans achat en cours constituerait un signal d'alerte, qui justifierait un refus et une vérification des dernières opérations dans l'application officielle. Les clients dont le numéro de carte figure dans la notification auraient intérêt à suivre les consignes reçues, y compris le blocage ou le remplacement de la carte par l'application.

Pour les détenteurs de cryptomonnaies, le lien désormais possible entre une identité, une adresse personnelle et des portefeuilles dont l'activité reste visible sur la blockchain poserait aussi une question de sécurité physique, que l'avis de Gnosis Pay évoque explicitement en appelant à la discrétion sur ses avoirs.

Enfin, la fermeture du 20 décembre 2026 obligerait les porteurs à prévoir un autre moyen de paiement, notamment pour les abonnements et prélèvements récurrents rattachés à la carte. Pour d'éventuels recours, Gnosis Pay indique être en contact avec les autorités de protection des données, et l'émetteur de la carte, Monavate Limited, relève de la supervision de la FCA.